Cibercriminosos criam falsos agentes de IA para instalar malware e roubar criptomoedas

Cibercriminosos usam falsos agentes de inteligência artificial (IA) para induzir os usuários a instalar malware que substitui extensões legítimas de carteiras de criptomoedas e rouba suas senhas. A manobra foi detectada entre abril e junho pela HP, em um cenário onde a inteligência artificial agencial, sistemas capazes de executar tarefas em nome do usuário, se tornou um novo atrativo para fraudes financeiras. A atividade faz parte do Threat Insights Report da HP, que analisou milhões de dispositivos protegidos com HP Wolf Security para identificar campanhas recentes e os métodos empregados para evadir sistemas de detecção.

Como opera este ciberataque que rouba criptomoedas

O ataque se apresenta como uma alternativa aos consultores financeiros tradicionais: os cibercriminosos prometem uma ferramenta que supervisiona carteiras de criptomoedas e opera de forma automática. O site tradingclaw se passava por um assistente de IA para negociar ativos digitais, mas distribuía uma família de software malicioso chamada Needle Stealer. Uma vez instalado, o programa examina os navegadores em busca de extensões de carteiras, entre elas Coinbase e MetaMask. Quando o programa as encontra, as substitui por cópias visualmente semelhantes; ao inserir seus dados para fazer login, as vítimas entregam suas credenciais aos atacantes, que podem acessar seus fundos. Patrick Schläpfer, pesquisador principal do HP Security Lab, alertou que os atacantes "estão aproveitando a adoção de ferramentas de IA agencial para desenvolver novos atrativos que enganam os usuários e os levam a baixar software malicioso que parece legítimo". Em sua opinião, essa estratégia torna a distribuição desses programas "mais sofisticada e difícil de detectar".

Quais outros ciberataques foram identificados

A segunda campanha detectada combina Phantom Gate, um carregador de software malicioso, com Phantom Stealer, uma ferramenta destinada ao roubo de informações, incluindo credenciais e dados financeiros. Phantom Stealer é comercializado como um programa legítimo para realizar testes de penetração, enquanto Phantom Gate permite que os criminosos implantem e ampliem as campanhas de infecção. Schläpfer afirmou que essas ferramentas refletem "a expansão do panorama de ameaças" porque permitem construir "cadeias de infecção perigosas". O resultado é um aumento do risco de que as organizações sejam comprometidas. A terceira modalidade recorre ao phishing, um golpe que suplanta páginas ou serviços para obter dados pessoais, por meio de códigos QR. As vítimas recebem arquivos PDF com o conteúdo borrado sob a alegação de que foi ocultado "por motivos de segurança", e são solicitadas a escanear o código com o telefone para acessar as informações. O código redireciona o usuário para uma página fraudulenta a partir do dispositivo. Esses endereços teriam sido bloqueados ao serem abertos a partir de um computador, mas funcionam em telefones, que têm níveis de proteção mais baixos e expõem as credenciais de acesso.

Como foi possível detectar diferentes ciberataques

HP Wolf Security pode observar esses ataques porque executa programas suspeitos dentro de contêineres protegidos. Esse isolamento permite conhecer o comportamento dos criminosos sem que o dispositivo seja afetado. Os usuários protegidos por esse serviço abriram 60.000 bilhões de anexos de e-mail, páginas da web e arquivos baixados sem que fossem registradas brechas de segurança. Os dados mostraram que pelo menos 10% das ameaças detectadas por e-mail através do HP Sure Click conseguiram evitar um ou mais scanners das portas de entrada de e-mail. Além disso, os arquivos executáveis foram o mecanismo de distribuição mais frequente e apareceram em 40% dos casos. Os arquivos compactados representaram 38%, enquanto os PDFs alcançaram 7,5%. James Wright, diretor global de Segurança de Sistemas Pessoais da HP, observou que os usuários "se movem constantemente entre dispositivos e aplicativos" através de navegadores e ferramentas de IA, e que os criminosos atualizam suas táticas rapidamente para acompanhá-los. Por isso, pediu que as organizações adotem um modelo de confiança zero, baseado no isolamento e na contenção de cliques e downloads que não sejam confiáveis.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.